Günümüzde internete açık olan çoğu şirket güvenlik duvarı kullanmaktadır. Kimi şirketler bunu güvenlik amaçlı kullanırken kimi şirketler ise getirdiği ek özellikler için tercih ederler. Klasik güvenlik duvarları IP adresi, port numarası, bağlantı durumu gibi bir paketi OSI katmanında 4. seviyeye kadar inceleyerek karar verirler. Bazı güvenlik duvarları yedinci katmana kadar çıkarak belirli protokoller için inceleme imkânı sunsa da günümüz için bunlar istisna sayılacak kadar azdır.
Günümüzde klasik güvenlik duvarları artık yeterli olmamaktadır. Bunun sebebi eskiden yapılan ataklar genelde network seviyesinde olur, network servislerini hedef alırdı. Yakın gelecekte güvenlik duvarları için gerekli geliştirmeler söz konusu olacaktır. Örneğin artık port kavramı yerine uygulama kavramına göre kurallar yazılan güvenlik duvarlarının çıkması kaçınılmaz görünüyor. Yani 80. porta izin ver yerine http protokolüne izin ver ya da 25. portu yasakla yerine smtp protokolünü yasakla şeklinde kural yazacağımız günler çok uzak değil gibi.
Belirli güvenlik anlayışına sahip çoğu şirket gereksiz servisleri firewallar aracılığı ile kapatıyor olsa da internete açılan kapıları olan web sunucular zorunlu olarak açık kalmaktadır. Bu durum da saldırıların bu portlar ve üzerinde çalışan uygulamalara yönelmesine sebep olmaktadır. Web üzerinden sunulan servislerin çeşitliliği ve bu konuda oturmuş bir standart olmamasıyla, geliştirilen uygulamalar güvenlik yönünden yeterli olgunluğa erişememektedir.
Web Application Firewall (WAF), karmaşıklaşan web trafiği üzerinde detaylı inceleme yaparak anormal trafiği engellemeye yarayan bir teknolojidir. Kısacası HTTP/HTTPS/SOAP/XML/Web Servisleri üzerinde detaylı paket incelemesi yaparak zararlı istekleri bloklamak için kullanılan bir araç diyebiliriz.
WAF sistemlerinin kullanımı bazı güvenlik standartları tarafından da tavsiye edilmektetir. Bunların başında duruma göre WAF kullanımını zorunlu tutan PCI Veri Güvenliği standartı geliyor. WAF kullanımı PCI DSS (6.6)’a göre zorunlu tutuluyor. Ya da kod analizi, kaynak kod incelemesi uzun vadede daha efektif bir çözüm sunsa da kısa vadede WAF çözümü daha uygun gözükmektedir.